Personenbezogene Daten & DSGVO | Kroqi

Schutz personenbezogener Daten

1. Präambel

Die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, auch Datenschutz-Grundverordnung (nachfolgend DSGVO) genannt, legt den Rechtsrahmen für die Verarbeitung personenbezogener Daten innerhalb der Europäischen Union fest.

Die DSGVO stärkt die Rechte und Pflichten der Verantwortlichen, Auftragsverarbeiter und betroffenen Personen.

Im Rahmen des Betriebs der unter /****, erreichbaren Websites setzt KROQI (nachfolgend „das Unternehmen”) eine Verarbeitung personenbezogener Daten seiner Kunden und Interessenten um.

Zum besseren Verständnis dieser Richtlinie wird klargestellt, dass:

„Kunden und Interessenten”: alle natürlichen oder juristischen Personen bezeichnet, die einen kommerziellen Kontakt mit dem Unternehmen initiiert haben;
„Verantwortlicher”: die natürliche oder juristische Person bezeichnet, die die Zwecke und Mittel einer Verarbeitung personenbezogener Daten bestimmt. Im Rahmen dieser Richtlinie ist der Verantwortliche das Unternehmen;
„Auftragsverarbeiter”: jede natürliche oder juristische Person bezeichnet, die personenbezogene Daten im Auftrag des Unternehmens verarbeitet. In der Praxis sind das die Dienstleister, mit denen das Unternehmen arbeitet und die an personenbezogenen Daten von Kunden und Interessenten des Unternehmens beteiligt sind (CRM-Lösungen, technische Dienstleister, Freelancer etc.);
„betroffene Personen”: die Personen bezeichnet, die im Rahmen der kommerziellen und Marketingaktivitäten des Unternehmens direkt oder indirekt identifiziert werden können, also alle Kunden/Interessenten;
„Empfänger”: die natürlichen oder juristischen Personen bezeichnet, die personenbezogene Daten empfangen. Die Empfänger der Daten können daher sowohl Mitarbeitende des Unternehmens als auch externe Stellen sein (Partner, Bankinstitute, Beteiligte etc.).

Die DSGVO schreibt in Artikel 12 vor, dass betroffene Personen in präziser, transparenter, verständlicher und leicht zugänglicher Form über ihre Rechte informiert werden müssen.

Die Kontakt-E-Mail-Adresse lautet „dpo-wimi@racine.eu”, und der DSB ist namentlich „Maître Eric Barbry, Cabinet Racine Avocats”.

2. Gegenstand

Für seinen ordnungsgemäßen Betrieb ist das Unternehmen verpflichtet, Verarbeitungen personenbezogener Daten seiner Kunden und Interessenten umzusetzen und zu betreiben.

Die vorliegende Richtlinie soll der Informationspflicht des Unternehmens entsprechen und damit die Rechte und Pflichten der Kunden und Interessenten des Unternehmens in Bezug auf die Verarbeitung ihrer personenbezogenen Daten formalisieren.

3. Geltungsbereich

Die vorliegende Datenschutzrichtlinie für personenbezogene Daten findet im Rahmen der Verarbeitung personenbezogener Daten der Kunden und Interessenten des Unternehmens Anwendung.

Sie betrifft nur die Verarbeitungen, bei denen das Unternehmen Verantwortlicher ist, und nicht solche, die nicht vom Unternehmen selbst angelegt oder betrieben werden (sogenannte „wilde” Verarbeitungen).

Die Verarbeitung personenbezogener Daten kann direkt durch das Unternehmen oder durch einen vom Unternehmen ausdrücklich benannten Auftragsverarbeiter erfolgen.

Diese Richtlinie ist unabhängig von jedem anderen Dokument, das im Rahmen des Vertragsverhältnisses zwischen dem Unternehmen und den Kunden und Interessenten Anwendung finden kann.

4. Allgemeine Grundsätze

Im Unternehmen wird keine Verarbeitung in Bezug auf Daten von Kunden und Interessenten umgesetzt, wenn sie nicht personenbezogene Daten betrifft, die von oder für unsere Dienste erhoben oder im Zusammenhang mit unseren Diensten verarbeitet werden, und wenn sie nicht den allgemeinen Grundsätzen der DSGVO entspricht.

5. Erhebung personenbezogener Daten

5.2 Datentypologie

Das Unternehmen erhebt die personenbezogenen Daten, die für den Betrieb dieser Websites und Dienste (z. B. Kroqi) sowie für die kommerzielle Akquise erforderlich sind.

5.3 Herkunft der Daten

Die Daten von Kunden und Interessenten stammen insbesondere aus den Daten, die über Anmelde- und Kontaktformulare auf der Website erhoben werden, aber auch aus kommerzieller Akquise und dem Kauf von Kundendatenbanken.

5.4 Pflichtdaten

Die Pflichtdaten sind in den Formularen mit einem Sternchen gekennzeichnet. Ohne sie kann die mit dieser Erhebung verbundene Leistung möglicherweise nicht erbracht werden.

6. Art der erhobenen Daten

6.1 Nicht-technische Daten

Das Unternehmen erhebt insbesondere folgende Daten:

Identifikationsdaten (Name, E-Mail-Adresse, Telefon);
Bankdaten (nur wenn aus dem Interessenten ein Kunde wird).

6.2 Technische Daten

Das Unternehmen erhebt Daten zur Verbindung mit dem Dienst (z. B. Uhrzeit, Gerätetyp, Browsersprache etc.).

7. Zwecke und Rechtsgrundlagen

Je nach Fall verarbeitet das Unternehmen Ihre Daten zu folgenden Zwecken:

Verwaltung der Anmeldung und des Abonnements dieser Dienste;
Verwaltung der Verbindung zu den Diensten;
Verwaltung des Newsletters;
Verwaltung der Entdeckung der Dienste durch den Nutzer;
Kommunikation mit dem Support-Dienst;
Übermittlung wichtiger Informationen zu den Diensten;
Verwaltung von Abmeldungs- und Kündigungsanfragen zu den Diensten;
Verwaltung der Anfragen zu Nutzerrechten an ihren Daten;
Verwaltung von Kontakt- und Unterstützungsanfragen;
Verwaltung der Buchhaltung und Rechnungen;
Verwaltung der Datenaufbewahrung im Hinblick auf gesetzliche Sicherheitspflichten;
Verwaltung von unbezahlten Rechnungen und Streitigkeiten;
Verbesserung der erbrachten Dienstleistungen durch Zufriedenheitsumfragen;
Verwaltung und Verfolgung der Kunden-, Nutzer- und Interessentenbeziehung, einschließlich Segmentierung und Targeting, um den Nutzerbedürfnissen bestmöglich zu entsprechen;
Erstellung von Statistiken zur Optimierung der Dienste.

Der Kunde wird darüber informiert, dass die Erhebung seiner personenbezogenen Daten zur Erfüllung des mit dem Unternehmen geschlossenen Vertrags erforderlich ist.

8. Empfänger der Daten: Berechtigungen & Nachvollziehbarkeit

Das Unternehmen stellt sicher, dass die Daten nur autorisierten internen oder externen Empfängern zugänglich sind.

Interne Empfänger

Externe Empfänger

das berechtigte Personal des Marketing-Dienstes, des Vertriebs-Dienstes, der Dienste für Kundenbeziehung und Akquise, der Verwaltungsdienste, der Logistik- und IT-Dienste sowie deren Vorgesetzte;
das berechtigte Personal der Kontrolldienste (Wirtschaftsprüfer, Dienste für interne Kontrollverfahren etc.).
die Partner, externen Gesellschaften oder Tochtergesellschaften derselben Partnerunternehmensgruppe;
die Organe, Justizhilfspersonen und Ministerialbeamten im Rahmen ihrer Inkassoaufgaben;
die Auftragsverarbeiter des Unternehmens und insbesondere das berechtigte Personal zur Nutzung personenbezogener Daten dieser Auftragsverarbeiter.

Die Empfänger personenbezogener Daten von Kunden und Interessenten innerhalb des Unternehmens unterliegen einer spezifischen Vertraulichkeitspflicht.

Das Unternehmen entscheidet, welcher Empfänger intern befugt ist, Daten zu erhalten.

Die Berechtigungsrichtlinie wird regelmäßig aktualisiert und berücksichtigt Zu- und Abgänge der Mitarbeitenden des Unternehmens, die Zugang zu den Daten haben.

Das Unternehmen ist in keiner Weise verantwortlich für Schäden jeglicher Art, die durch unrechtmäßigen Zugang zu personenbezogenen Daten entstehen können.

Stellt ein Mitarbeitender fest, dass er Zugang zu Daten hat, zu denen er keinen Zugang haben sollte, ist er verpflichtet, unverzüglich den zuständigen Dienst zu benachrichtigen.

Alle Zugriffe auf Verarbeitungen personenbezogener Daten von Kunden und Interessenten unterliegen einer Nachvollziehbarkeitsmaßnahme.

Darüber hinaus können personenbezogene Daten an jede gesetzlich befugte Behörde übermittelt werden. In diesem Fall ist das Unternehmen nicht verantwortlich für die Bedingungen, unter denen das Personal dieser Behörden auf die Daten zugreift und sie nutzt.

9. Aufbewahrungsdauer

Die Aufbewahrungsdauer der Daten wird vom Unternehmen anhand der für es geltenden rechtlichen und vertraglichen Verpflichtungen und ansonsten anhand seiner Bedürfnisse festgelegt, insbesondere nach folgenden Grundsätzen:

Verarbeitung

Aufbewahrungsdauer

Daten zu Kunden

Die Kundendaten werden während der gesamten Nutzung des KROQI-Dienstes aufbewahrt.

Daten zu Kunden im Rahmen der kommerziellen Akquise

Die Kundendaten werden für eine maximale Dauer von 3 Jahren ab Abmeldung von den Diensten des Unternehmens aufbewahrt.

Daten zu Interessenten

Die Daten der Interessenten werden für eine maximale Dauer von 3 Jahren ab dem letzten Kontakt des Interessenten aufbewahrt.

Technische Daten

Die IP-Adressen und Logs der Kunden/Interessenten werden für eine Dauer von einem Jahr ab der letzten Verbindung oder der letzten Software-Nutzung aufbewahrt.

Bankdaten

Die Bankdaten werden grundsätzlich nach Abwicklung der Transaktion gelöscht, außer bei ausdrücklicher Zustimmung des Kunden.

Zu Beweiszwecken können Bankdaten jedoch 13 Monate ab Belastungsdatum archiviert werden.

Cookies

Die Cookies können für eine Dauer von 13 Monaten aufbewahrt werden.

Daten, die dem Nachweis eines Rechts oder Vertrags dienen oder im Rahmen einer gesetzlichen Pflicht aufbewahrt werden, unterliegen einer Zwischenarchivierungspolitik für eine Dauer, die die für ihre Zwecke notwendige Dauer nicht übersteigt, gemäß den geltenden Bestimmungen.

Nach Ablauf der festgelegten Fristen werden die Daten entweder gelöscht oder nach Anonymisierung aufbewahrt, insbesondere für statistische Zwecke.

Es wird Kunden und Interessenten daran erinnert, dass Löschung oder Anonymisierung unwiderrufliche Vorgänge sind und das Unternehmen sie anschließend nicht wiederherstellen kann.

10. Bestätigungs- und Auskunftsrecht

Kunden und Interessenten haben das Recht, vom Unternehmen die Bestätigung zu verlangen, ob sie betreffende Daten verarbeitet werden oder nicht.

Kunden und Interessenten haben außerdem ein Auskunftsrecht, das an die Einhaltung folgender Regeln gebunden ist:

die Anfrage stammt von der Person selbst und ist mit einer aktuellen Kopie eines Ausweisdokuments versehen;
Die Auskunftsanfrage kann postalisch an: 4 avenue du Recteur Poincaré, 75016, PARIS, Frankreich oder per E-Mail an dpo-wimi@racine.eu gerichtet werden.

Kunden und Interessenten haben das Recht, eine Kopie ihrer beim Unternehmen verarbeiteten personenbezogenen Daten zu verlangen. Bei Anfrage zusätzlicher Kopien kann das Unternehmen jedoch eine finanzielle Übernahme dieser Kosten durch die Kunden und Interessenten verlangen.

Wenn Kunden und Interessenten ihre Anfrage nach einer Kopie der Daten elektronisch stellen, werden die angeforderten Informationen in einem gängigen elektronischen Format bereitgestellt, sofern sie nichts anderes verlangen.

Kunden und Interessenten werden schließlich darüber informiert, dass dieses Auskunftsrecht keine vertraulichen Informationen oder solche umfassen kann, für die die Übermittlung gesetzlich nicht erlaubt ist.

Das Auskunftsrecht darf nicht missbräuchlich ausgeübt werden, d. h. regelmäßig mit dem alleinigen Ziel, den betroffenen Dienst zu destabilisieren.

11. Recht auf Berichtigung

Um eine regelmäßige Aktualisierung der vom Unternehmen erhobenen personenbezogenen Daten zu ermöglichen, kann das Unternehmen Kunden und Interessenten ansprechen, die verpflichtet sind, den Anfragen des Unternehmens zu entsprechen.

Bei Änderung der Informationen der Kunden und Interessenten durch das Unternehmen werden diese spontan informiert.

Kunden und Interessenten werden darüber informiert, dass das Unternehmen keine sogenannten „Komfort”-Änderungen vornimmt; nur substantielle Änderungen am Personenstand, der Identität und den Kontaktdaten der betroffenen Person werden vorgenommen.

12. Widerspruchsrecht

Das Recht auf Löschung von Kunden und Interessenten gilt nicht in Fällen, in denen die Verarbeitung zur Erfüllung einer gesetzlichen Pflicht erfolgt.

Außerhalb dieser Situation können Kunden und Interessenten die Löschung ihrer Daten in den folgenden begrenzten Fällen verlangen:

die personenbezogenen Daten sind für die Zwecke, für die sie erhoben oder anderweitig verarbeitet wurden, nicht mehr erforderlich;
wenn die betroffene Person ihre Einwilligung, auf der die Verarbeitung beruht, widerruft und keine andere Rechtsgrundlage für die Verarbeitung besteht;
die betroffene Person widerspricht einer Verarbeitung, die zur Wahrung der berechtigten Interessen des Unternehmens erforderlich ist, und es bestehen keine vorrangigen berechtigten Gründe für die Verarbeitung;
die betroffene Person widerspricht einer Verarbeitung ihrer personenbezogenen Daten zu Akquisezwecken, einschließlich Profiling;
die personenbezogenen Daten wurden unrechtmäßig verarbeitet.

Gemäß den Datenschutzgesetzen werden Kunden und Interessenten darüber informiert, dass es sich um ein individuelles Recht handelt, das nur von der betroffenen Person in Bezug auf ihre eigenen Informationen ausgeübt werden kann: Aus Sicherheitsgründen muss der betreffende Dienst Ihre Identität prüfen, um jede Übermittlung vertraulicher Informationen über Sie an eine andere Person zu vermeiden.

13. Recht auf Löschung

Kunden und Interessenten werden darüber informiert, dass sie kein Recht auf Einschränkung der Verarbeitung ihrer personenbezogenen Daten haben, da die vom Unternehmen vorgenommene Verarbeitung rechtmäßig ist und alle erhobenen personenbezogenen Daten zur Erfüllung des Geschäftsvertrags erforderlich sind.

14. Recht auf Einschränkung der Verarbeitung

Bei Beendigung der Geschäftsbeziehungen mit dem Unternehmen können Kunden auf Anfrage ihr Recht auf Übertragbarkeit für die Daten ausüben, die sie selbst dem Unternehmen über das Online-Formular übermittelt haben. Diese Daten werden ihnen in einem strukturierten, gängigen und maschinenlesbaren Format zur Verfügung gestellt.

15. Recht auf Datenübertragbarkeit

Das Unternehmen führt Profiling-Techniken zu kommerziellen Akquisezwecken durch. Hierzu gibt die betroffene Person ihre ausdrückliche Einwilligung, dass Daten zu Profilingzwecken verwendet werden.

16. Automatisierte Einzelentscheidung

Kunden und Interessenten werden darüber informiert, dass sie das Recht haben, Weisungen zur Aufbewahrung, Löschung und Übermittlung ihrer Daten nach dem Tod zu formulieren. Die Übermittlung spezifischer Post-mortem-Weisungen und die Ausübung dieser Rechte erfolgen per E-Mail an wimi@racine.eu oder per Post an: 112 Rue Réaumur, 75002 Paris, Frankreich, begleitet von einer Kopie eines unterzeichneten Ausweisdokuments.

17. Post-mortem-Recht

Kunden und Interessenten werden auf jedem Erhebungsformular personenbezogener Daten durch das Vorhandensein eines Sternchens über die Pflicht oder Freiwilligkeit der Antworten informiert.

Sind Antworten obligatorisch, erläutert das Unternehmen Kunden und Interessenten die Folgen einer fehlenden Antwort.

18. Ausübung der Rechte

Das Unternehmen erhält von Kunden und Interessenten ein Nutzungs- und Verarbeitungsrecht ihrer personenbezogenen Daten für die oben genannten Zwecke.

Die angereicherten Daten, die Ergebnis einer Verarbeitungs- und Analysearbeit des Unternehmens sind, sogenannte angereicherte Daten, bleiben jedoch ausschließliches Eigentum des Unternehmens (Nutzungsanalyse, Statistiken etc.).

19. Auftragsverarbeitung

Das Unternehmen informiert seine Kunden und Interessenten, dass es jeden Auftragsverarbeiter seiner Wahl im Rahmen der Verarbeitung ihrer personenbezogenen Daten einsetzen kann.

In diesem Fall stellt das Unternehmen die Einhaltung der Verpflichtungen des Auftragsverarbeiters gemäß der DSGVO sicher, wobei das Unternehmen nur Auftragsverarbeiter beauftragt, die die Datenschutzregeln einhalten und den DSGVO-Anforderungen strikt entsprechen.

20. Sicherheitsmaßnahmen

Es obliegt dem Unternehmen, die technischen, physischen oder logischen Sicherheitsmaßnahmen zu definieren und umzusetzen, die es zur Bekämpfung der unbefugten Zerstörung, des Verlusts, der Veränderung oder der Offenlegung von Daten als angemessen erachtet.

Zu diesen Maßnahmen zählen hauptsächlich:

Berechtigungsverwaltung für den Datenzugriff;
Verwendung eines SSL-Verschlüsselungsprotokolls für die Übertragung der Daten zwischen den Endgeräten der Nutzer und den Servern des Unternehmens;
Hosting in Rechenzentren in Frankreich mit maximalem Sicherheitsniveau;
Alle Zugriffe auf die Infrastruktur erfolgen über VPN: nur bestimmte vordefinierte IPs sind autorisiert, einen Tunnel aufzubauen (IP-Whitelist), mithilfe eines RSA-4096-Schlüssels;
Regelmäßige und systematische Anwendung von Sicherheitspatches auf die Infrastrukturkomponenten.

Hierzu kann sich das Unternehmen von jedem Dritten seiner Wahl unterstützen lassen, um in den als notwendig erachteten Frequenzen Schwachstellen-Audits oder Penetrationstests durchzuführen.

Außer in dringenden Fällen oder bei unmittelbarem Risiko werden die Mitarbeitenden vor der Durchführung dieser Audits informiert und müssen die ihnen vorher mitgeteilten angepassten Schutzmaßnahmen ergreifen.

In jedem Fall verpflichtet sich das Unternehmen bei Änderung der Mittel zur Gewährleistung der Datensicherheit und -vertraulichkeit, diese durch leistungsfähigere Mittel zu ersetzen. Keine Entwicklung darf zu einer Rückentwicklung des Sicherheitsniveaus führen.

Bei Auftragsverarbeitung eines Teils oder der Gesamtheit einer Verarbeitung personenbezogener Daten verpflichtet sich das Unternehmen, seinen Auftragsverarbeitern vertraglich Sicherheitsgarantien durch technische Schutzmaßnahmen für diese Daten und geeignete personelle Mittel aufzuerlegen.

21. Datenübermittlung außerhalb der Europäischen Union

Bei Verletzung personenbezogener Daten verpflichtet sich das Unternehmen, dies der CNIL unter den von der DSGVO vorgeschriebenen Bedingungen zu melden.

Falls diese Verletzung ein hohes Risiko für Kunden und Interessenten birgt und die Daten nicht geschützt wurden, wird das Unternehmen:

die betroffenen Kunden und Interessenten benachrichtigen;
den betroffenen Kunden und Interessenten die erforderlichen Informationen und Empfehlungen mitteilen.

Wir haben einen Datenschutzbeauftragten benannt, der bei Fragen zur Datenverarbeitung unter folgenden Kontaktdaten zu erreichen ist:

Name: Maître Eric Barbry, Cabinet Racine Avocats;
E-Mail-Adresse: dpo-wimi@racine.eu
Tel.: 01 44 82 43 00

23. Entwicklung dieses Dokuments

Die von der Verarbeitung ihrer personenbezogenen Daten betroffenen Kunden und Interessenten werden über ihr Recht informiert, eine Beschwerde bei einer Aufsichtsbehörde, nämlich der CNIL, einzureichen, wenn sie der Auffassung sind, dass die Verarbeitung ihrer personenbezogenen Daten nicht den europäischen Datenschutzvorschriften entspricht, an folgender Adresse:

CNIL, Service des plaintes

3 Place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07

Tel: 01 53 73 22 22

24. Fragen

Die vorliegende Richtlinie kann bei rechtlichen, jurisprudentiellen oder die Entscheidungen und Empfehlungen der CNIL betreffenden Änderungen oder bei Praxisänderungen jederzeit geändert oder angepasst werden.

Jede neue Fassung dieser Richtlinie wird Kunden/Interessenten auf jedem vom Unternehmen festgelegten Weg, einschließlich elektronisch (Verbreitung per E-Mail oder online beispielsweise), zur Kenntnis gebracht.

25. Credits

Für weitere Informationen können Sie folgende Dienste kontaktieren: dpo-wimi@racine.eu

Für allgemeinere Informationen zum Schutz personenbezogener Daten können Sie die Website der CNIL unter www.cnil.fr konsultieren.